“政府情報システムのためのセキュリティ評価制度（ISMAP）管理基準”に関する記述のうち、適切なものはどれか。

選択肢

• アISMAP管理基準は、ガバナンス基準、マネジメント基準、管理策基準、監査基準の四つから構成されている。
• イガバナンス基準の実施主体は経営陣であり、情報セキュリティガバナンスのプロセスとして、評価、指示、モニタ、コミュニケーション及び保証の各プロセスが定められている。
• ウ管理策基準は、管理者が実施すべき事項として、情報セキュリティマネジメントの計画、実行、点検、処置及びリスクコミュニケーションに必要な事項を定めている。
• エマネジメント基準は、組織における情報セキュリティマネジメントの確立段階において、リスク対応方針に従って管理策を選択する際の選択肢を与えている。

正解と解説

正解：イ ガバナンス基準の実施主体は経営陣であり、情報セキュリティガバナンスのプロセスとして、評価、指示、モニタ、コミュニケーション及び保証の各プロセスが定められている。

ISMAP管理基準はガバナンス基準、マネジメント基準、管理策基準の3つで構成される。このうちガバナンス基準は経営陣を実施主体とし、情報セキュリティガバナンスを、評価・指示・モニタ・コミュニケーション・保証という各プロセスで実行することを求めている。

選択肢ごとの解説

• ア監査基準は含まれず、ガバナンス・マネジメント・管理策の3基準で構成される。
• イ正しい。ガバナンス基準の実施主体は経営陣で、評価・指示・モニタ・コミュニケーション・保証の各プロセスが定められている。
• ウ計画・実行・点検・処置とリスクコミュニケーションを定めるのはマネジメント基準である。
• エリスク対応方針に従って管理策を選ぶ際の選択肢を与えるのは管理策基準である。

同じ分野の他の問題

• JPCERTコーディネーションセンター"CSIRTガイド(2021年11月30日)"では、CSIRTの機能をサービス対象…2025年度 春期 午前II 問24
• “政府情報システムのためのセキュリティ評価制度(ISMAP)管理基準(令和5年9月22日最終改定)”に関する記述のうち,…2024年度 春期 午前II 問25
• サイバー攻撃に関する脅威に対処するために、非合法な手段を使わずに入手できる公開情報について、収集、分析及び活用が進んでい…2023年度 春期 午前II 問25
• 総務省及び経済産業省が策定した“電子政府における調達のために参照すべき暗号のリスト（CRYPTREC暗号リスト）”を構成…2022年度 春期 午前II 問23
• 2019年2月から総務省、情報通信研究機構（NICT）及びインターネットサービスプロバイダが連携して開始した“NOTIC…2021年度 春期 午前II 問25